Punti chiave
- Una certificazione ISO è l'attestato con cui un organismo di certificazione, dopo un audit, dichiara che un sistema di gestione rispetta i requisiti di una norma ISO.
- La norma la scrive ISO e in Italia la adotta UNI; il certificato lo rilascia un organismo di certificazione, accreditato in Italia da Accredia, ente unico designato dal Governo.
- Le principali certificazioni di sistema di gestione sono ISO 9001 (qualità), ISO 14001 (ambiente), ISO 45001 (salute e sicurezza), ISO/IEC 27001 (sicurezza delle informazioni), ISO 22301 (continuità operativa) e ISO/IEC 42001 (intelligenza artificiale).
- Si certificano le norme di requisiti: ISO 9000, ISO 31000, ISO 19011 e ISO/IEC 27002 sono vocabolari, linee guida o raccolte di controlli.
- Le norme sui sistemi di gestione condividono la struttura armonizzata (punti da 4 a 10), quindi un sistema già certificato si riusa per una seconda norma.
- Secondo Accredia il certificato di sistema non garantisce la conformità legale dell'organizzazione. Si verifica nelle banche dati Accredia e vale per un ciclo triennale con sorveglianze annuali.
La risposta breve: una certificazione ISO è l'attestato con cui un organismo di certificazione, dopo un audit, dichiara che il sistema di gestione di un'organizzazione è conforme ai requisiti di una norma ISO. Le principali riguardano qualità (ISO 9001), ambiente (ISO 14001), salute e sicurezza sul lavoro (ISO 45001) e sicurezza delle informazioni (ISO/IEC 27001). Sono volontarie: nella maggior parte dei casi le chiedono clienti, capitolati e gare.
Qui sotto: la differenza fra norma e certificazione, l'elenco delle certificazioni di sistema di gestione che si incontrano più spesso nel lavoro di un'azienda italiana, chi le rilascia, come si verifica un certificato e come capire quale serve davvero.
Norme ISO e certificazioni ISO non sono la stessa cosa
Le due parole si usano come sinonimi, ma indicano due cose diverse.
- La norma è il documento tecnico che fissa i requisiti. La pubblica ISO, l'organizzazione internazionale di normazione, e in Italia la adotta e la distribuisce UNI, che si presenta come uno degli enti fondatori dell'ISO e ha fra i suoi compiti adattare le norme europee e internazionali alla realtà italiana. Per questo in Italia la ISO 9001 si compra come UNI EN ISO 9001. UNI definisce i propri documenti "norme tecniche volontarie".
- La certificazione è la verifica, fatta da un soggetto terzo, che un'organizzazione rispetta quei requisiti. Non la rilascia l'ISO e non la rilascia UNI: la rilascia un organismo di certificazione.
Le certificazioni non riguardano solo le aziende. Accredia, l'ente italiano di accreditamento, distingue tre famiglie di certificazioni accreditate: di sistemi di gestione, di prodotti e servizi, di persone, rilasciate da organismi accreditati rispettivamente secondo la ISO/IEC 17021-1, la ISO/IEC 17065 e la ISO/IEC 17024. Quando un'azienda dice di essere certificata ISO parla quasi sempre della prima famiglia, ed è quella di cui parla questo articolo.
Non tutte le norme ISO si certificano
Basta guardare il titolo. Le norme su cui si costruisce una certificazione di sistema di gestione hanno nel titolo la parola Requisiti: la UNI EN ISO 9001:2026 si intitola Sistemi di gestione per la qualità - Requisiti. Altre norme molto citate sono invece linee guida o vocabolari, e servono a costruire il sistema, non a certificarlo:
- ISO 9000, Gestione per la qualità - Fondamenti e vocabolario, che non contiene requisiti: la differenza con la 9001 è spiegata in ISO 9000 e ISO 9001;
- ISO 31000, Gestione del rischio - Linee guida;
- ISO 19011, Linee guida per audit di sistemi di gestione;
- ISO/IEC 27002, Controlli di sicurezza delle informazioni, che accompagna la ISO/IEC 27001.
I titoli sono quelli delle schede di UNI Store. Se un fornitore dichiara di essere certificato ISO 31000, vale la pena chiedergli di vedere il certificato.
Quali sono le principali certificazioni ISO
Accredia elenca gli ambiti in cui si certificano i sistemi di gestione: qualità, ambiente e sostenibilità degli eventi, salute e sicurezza sui luoghi di lavoro, sicurezza delle informazioni e dei servizi informatici, energia, sicurezza della catena di fornitura, business continuity, sicurezza alimentare. Queste sono le norme corrispondenti, con il titolo della versione italiana.
ISO 9001: qualità
È la norma sui sistemi di gestione per la qualità, e il punto di partenza di molte aziende. L'edizione vigente è la ISO 9001:2026: secondo la scheda UNI Store, la UNI EN ISO 9001:2026 è in vigore dal 16 settembre 2026. Cosa cambia rispetto alla 2015 e fino a quando valgono i certificati vecchi lo spieghiamo nell'articolo sulla ISO 9001:2026.
ISO 14001: ambiente
Sistemi di gestione ambientale - Requisiti e guida per l'uso. Anche qui c'è un'edizione nuova: la UNI EN ISO 14001:2026 risulta in vigore dal 15 aprile 2026, e ACCREDIA ha pubblicato le disposizioni per la transizione nella circolare informativa DC N° 14/2026.
ISO 45001: salute e sicurezza sul lavoro
Sistemi di gestione per la salute e sicurezza sul lavoro - Requisiti e guida per l'uso. Riguarda il modo in cui l'organizzazione individua e tiene sotto controllo i rischi per chi lavora.
ISO/IEC 27001: sicurezza delle informazioni
Il titolo italiano è Sicurezza delle informazioni, cybersecurity e protezione della privacy - Sistemi di gestione per la sicurezza delle informazioni - Requisiti. L'edizione internazionale di riferimento è la ISO/IEC 27001:2022, ed è la norma su cui si certifica un sistema di gestione per la sicurezza delle informazioni (ISMS). Requisiti, controlli e percorso sono nella guida completa alla ISO 27001.
Della stessa famiglia fa parte la ISO/IEC 27701, dedicata alla gestione delle informazioni in ambito privacy.
ISO 22301: continuità operativa
Sicurezza e resilienza - Sistemi di gestione per la continuità operativa - Requisiti. Chiede di capire quali attività non possono fermarsi e di prepararsi a riprenderle dopo un'interruzione. Il primo passo pratico è la business impact analysis.
ISO/IEC 42001: intelligenza artificiale
Tecnologie informatiche - Intelligenza artificiale - Sistema di gestione. Riguarda chi sviluppa, fornisce o usa sistemi di AI. Ne parliamo nell'articolo ISO 42001: cos'è.
Altre certificazioni ISO di settore
- ISO 50001, Sistemi di gestione dell'energia - Requisiti e linee guida per l'uso.
- ISO 37001, Sistemi di gestione per la prevenzione della corruzione - Requisiti e guida all'utilizzo. In Italia la UNI ISO 37001:2025 è in vigore dall'11 settembre 2025.
- ISO 22000, Sistemi di gestione per la sicurezza alimentare - Requisiti per qualsiasi organizzazione nella filiera alimentare.
- ISO 13485, Dispositivi medici - Sistemi di gestione per la qualità - Requisiti per scopi regolamentari: come dice il titolo, è pensata per gli scopi regolamentari del settore medicale.
- ISO/IEC 20000-1, Tecnologie informatiche - Gestione del servizio - Parte 1: Requisiti per un sistema di gestione del servizio, per chi eroga servizi IT.
Perché le norme ISO si somigliano
Chi ha già una 9001 e apre la 27001 trova lo stesso indice. Non è un caso: le norme ISO sui sistemi di gestione sono scritte sulla struttura armonizzata, la revisione della High Level Structure del 2012, che UNI ha pubblicato in traduzione italiana con la guida per l'uso. Numeri e titoli dei punti, parte del testo, termini comuni e definizioni di base sono identici in tutte, e a ogni norma si aggiungono i requisiti della sua disciplina. I punti con requisiti vanno dal 4 al 10:
- 4. Contesto dell'organizzazione
- 5. Leadership
- 6. Pianificazione, con le azioni per affrontare rischi e opportunità
- 7. Supporto: risorse, competenze, comunicazione, informazioni documentate
- 8. Attività operative
- 9. Valutazione delle prestazioni, con audit interno e riesame di direzione
- 10. Miglioramento, con non conformità e azioni correttive
La guida UNI ricorda che un'organizzazione può soddisfare i requisiti di più norme all'interno di un unico sistema di gestione. In pratica: audit interno, riesame, gestione documentale e gestione delle non conformità costruiti per la 9001 si riusano per la 27001 o la 14001, e il lavoro nuovo si concentra sui requisiti specifici di ciascuna.
Chi rilascia una certificazione ISO
I soggetti sono tre, con ruoli separati:
- ISO scrive la norma, UNI la adotta in Italia.
- L'organismo di certificazione fa l'audit e, se l'esito è positivo, emette il certificato.
- L'ente di accreditamento verifica che l'organismo sia competente e imparziale. Nell'Unione europea il Regolamento CE 765/2008 prevede un solo ente nazionale per Stato membro, e in Italia è Accredia, l'ente unico designato dal Governo.
Secondo Accredia, l'accreditamento conferisce ai certificati "un alto grado di affidabilità in termini di qualità e sicurezza dei beni e dei servizi sottoposti a verifica, e ne garantisce il riconoscimento sui mercati internazionali". È la ragione per cui un capitolato chiede di solito una certificazione rilasciata da un organismo accreditato, e non un certificato qualsiasi.
Un consulente non entra in questa catena: aiuta a costruire il sistema, ma non può certificarlo. Come separare i due ruoli e come scegliere chi ti segue lo trovi nell'articolo sulla consulenza ISO 9001.
Come verificare un certificato ISO
Le banche dati di Accredia permettono di cercare gli organismi accreditati, con i loro schemi e settori, e le organizzazioni con un sistema di gestione certificato da organismi accreditati. Accredia avverte che di quei dati rispondono gli organismi di certificazione, che possono variare e contenere certificati sospesi: per un fornitore importante conviene chiedere il certificato, controllare norma, campo di applicazione e sedi coperte, e incrociarli con la banca dati.
Cosa un certificato ISO non dice
Accredia lo scrive nella pagina sugli organismi di certificazione dei sistemi di gestione: "Il certificato di sistema non garantisce la conformità legale dell’organizzazione (compliance), né che il prodotto/servizio sia conforme ad uno standard di riferimento." Garantisce invece la capacità di svolgere certi processi in sedi specifiche, nel periodo di validità.
Per chi si occupa di sicurezza è un punto pratico: una ISO/IEC 27001 aiuta con la NIS2, ma non ne sostituisce gli obblighi. Dove si sovrappongono e dove no lo spieghiamo in NIS2 vs ISO 27001.
Come si ottiene e quanto dura
Il percorso, passo per passo:
- Gap analysis: dove sei rispetto ai requisiti.
- Costruzione del sistema: processi, responsabilità, informazioni documentate, controlli.
- Audit interno e riesame di direzione, prima di chiamare l'organismo. Come si imposta l'audit lo trovi nella guida all'audit interno ISO 9001.
- Audit di certificazione in due fasi, Stage 1 e Stage 2.
- Mantenimento: nei documenti dell'accreditamento sul tempo di audit (IAF MD 5, per qualità, ambiente e salute e sicurezza) il ciclo di certificazione è triennale, con audit di sorveglianza ogni anno e un audit di rinnovo per il ciclo successivo.
Il costo dipende soprattutto dalle giornate di audit, che crescono con il numero di addetti e di sedi, e dal lavoro interno: le voci sono spiegate in quanto costa la certificazione ISO 9001, e la logica vale anche per le altre norme.
Quale certificazione ISO serve alla tua azienda
Accredia scrive che un certificato di sistema di gestione offre uno strumento per accedere in via privilegiata a mercati regolati e bandi di gara. Il punto è scegliere quello che il tuo mercato chiede davvero. Quattro domande aiutano:
- Chi te la chiede? Un capitolato, un cliente enterprise, una casa madre. Leggi il requisito alla lettera: norma, campo di applicazione, se serve l'accreditamento.
- Quale rischio stai governando? Qualità del prodotto, ambiente, sicurezza delle persone, sicurezza dei dati, continuità del servizio, uso dell'AI: ogni rischio ha la sua norma.
- Sei in un settore con norme proprie? Medicale, alimentare, servizi IT hanno una certificazione dedicata, e il cliente si aspetta quella.
- Cosa hai già? Con una 9001 in casa, la seconda certificazione richiede meno lavoro della prima, perché la struttura armonizzata ti fa riusare una parte del sistema.
Una nota sui nomi: non tutto quello che i clienti chiedono è una certificazione ISO. Il SOC 2, per esempio, non è una certificazione ma un report di attestazione, emesso da un revisore indipendente secondo i criteri dell'AICPA: la differenza con la 27001 è nell'articolo ISO 27001 vs SOC 2.
In sintesi
Le certificazioni ISO attestano, dopo un audit di un organismo terzo, che un sistema di gestione rispetta i requisiti di una norma. Le principali sono la ISO 9001 per la qualità, la ISO 14001 per l'ambiente, la ISO 45001 per salute e sicurezza, la ISO/IEC 27001 per la sicurezza delle informazioni, a cui si aggiungono ISO 22301, ISO/IEC 42001 e le norme di settore. Sono volontarie, durano un ciclo di tre anni con sorveglianze annuali e, in Italia, si verificano nelle banche dati di Accredia. Condividono la stessa struttura, quindi la seconda si costruisce sulla prima.
Se stai valutando da dove partire, o vuoi capire quanto del tuo sistema attuale si riusa per una seconda norma, trovi come lavoriamo nella pagina sulla certificazione ISO 9001.